劉曉曼 于青民

1 中國信息通信研究院 北京 100191

2 工業(yè)互聯(lián)網(wǎng)安全技術(shù)試驗與測評工業(yè)和信息化部重點實驗室 北京 100191

3 互聯(lián)網(wǎng)與工業(yè)融合創(chuàng)新工業(yè)和信息化部重點實驗室 北京 100191

引言

伴隨5G+工業(yè)互聯(lián)網(wǎng)加速向各行業(yè)各領域加速滲透應用，5G全連接工廠已成為“5G+工業(yè)互聯(lián)網(wǎng)”在工業(yè)企業(yè)內(nèi)深度融合應用的重要演進方向，安全體系是保障5G全連接工廠有序建設的關(guān)鍵一環(huán)。從安全管理、安全技術(shù)、安全運行等視角出發(fā)，構(gòu)建全方位的5G全連接工廠安全保障體系已成為大勢所趨。

1 亟需構(gòu)建滿足5G全連接工廠建設的安全保障體系

1.1 5G全連接工廠建設的重要意義

5G全連接工廠是“5G+工業(yè)互聯(lián)網(wǎng)”應用由點到線及面的關(guān)鍵載體。一方面，5G全連接工廠將從工業(yè)企業(yè)的視角出發(fā)，以產(chǎn)線、車間、工廠為單位，深化工業(yè)互聯(lián)網(wǎng)在工業(yè)企業(yè)的落地，加快5G在工業(yè)企業(yè)的綜合部署應用。另一方面，5G全連接工廠建設與工業(yè)企業(yè)實際生產(chǎn)需求進行緊密結(jié)合，形成工廠建設或改造整體方案[1]。

5G全連接工廠建設和發(fā)展將為企業(yè)數(shù)字化轉(zhuǎn)型提供關(guān)鍵支撐，將為企業(yè)解決網(wǎng)絡互通、資源共享、IT/OT深度融合等相關(guān)問題做好技術(shù)支撐，促進數(shù)字孿生工廠建設，不斷滿足企業(yè)生產(chǎn)的無線化、柔性化、協(xié)同化等生產(chǎn)需求，從而提升企業(yè)生產(chǎn)工藝，達到提質(zhì)降本增效效果。與此同時，工業(yè)企業(yè)、基礎電信企業(yè)、設備商等產(chǎn)業(yè)各方以5G全連接工廠建設為契機，加快網(wǎng)絡建設運維模式、商業(yè)模式等探索速度。

5G全連接工廠將開辟5G與工業(yè)互聯(lián)網(wǎng)融合發(fā)展的新賽道。5G全連接工廠建設是“5G+工業(yè)互聯(lián)網(wǎng)”512工程升級版的重要布局方向之一，促進5G在工業(yè)生產(chǎn)中由“局部單點”向“生產(chǎn)全局”、由“外圍應用”向“關(guān)鍵工序”的創(chuàng)新發(fā)展，進一步加快“5G+工業(yè)互聯(lián)網(wǎng)”新技術(shù)、新場景、新模式向工業(yè)生產(chǎn)各領域、各環(huán)節(jié)深度拓展。

1.2 構(gòu)建5G全連接工廠安全保障體系的重要性

安全是發(fā)展的基本前提和重要保障。同步做好工業(yè)互聯(lián)網(wǎng)安全工作，開展戰(zhàn)略性、前瞻性、系統(tǒng)性部署，確保安全與發(fā)展同步實施，是在當前大融合大變革的歷史階段，落實國家總體安全觀、保障“兩個強國”建設的關(guān)鍵舉措，也是支撐我國當前重大戰(zhàn)略實施和未來長遠布局、搶占發(fā)展制高點的基礎保障，還是全面保障5G全連接工廠高質(zhì)量建設的重要屏障。

加速構(gòu)建5G全連接工廠安全保障體系是應對日益復雜的網(wǎng)絡安全形勢、筑牢網(wǎng)絡安全防線的必然要求。伴隨著全球網(wǎng)絡安全形勢的深刻變化以及工業(yè)互聯(lián)網(wǎng)等融合形態(tài)的快速發(fā)展，網(wǎng)絡安全內(nèi)涵外延不斷擴展，網(wǎng)絡安全威脅風險逐漸向?qū)嶓w經(jīng)濟的各行業(yè)領域、各產(chǎn)業(yè)鏈條滲透。5G全連接工廠作為當前及未來發(fā)展的重要方向，工廠內(nèi)5G與工業(yè)系統(tǒng)的深度融合發(fā)展，勢必將大量的ICT系統(tǒng)威脅和挑戰(zhàn)帶入工業(yè)OT網(wǎng)絡，其安全挑戰(zhàn)更為艱巨，安全保障工作重要性和必要性凸顯。

2 5G全連接工廠安全防護分析

2.1 5G全連接工廠安全風險及問題分析

一是在接入安全方面，5G網(wǎng)絡增大了大量工業(yè)IT軟件漏洞被利用風險，5G mMTC場景下巨量泛在智能終端易被利用成為新攻擊源，終端應用場景多元但缺乏統(tǒng)一安全標識和認證管理機制，增加網(wǎng)絡管理難度。

二是控制安全方面，5G網(wǎng)絡打破相對封閉的工控空間，增大了工控協(xié)議與IT系統(tǒng)漏洞被利用風險，工業(yè)控制協(xié)議、控制軟件設計之初未考慮完整性、身份校驗等安全需求，應用軟件持續(xù)面臨病毒、木馬、漏洞等傳統(tǒng)安全挑戰(zhàn)。

三是網(wǎng)絡安全方面，5G網(wǎng)絡切片面臨非法訪問等切片間、切片內(nèi)以及切面與DN網(wǎng)絡安全威脅；5G網(wǎng)絡采用 SDN等新技術(shù)，帶入網(wǎng)絡傳輸鏈路上的軟、硬件安全威脅；MEC節(jié)點安全能力不夠，易被攻擊，且5G核心網(wǎng)UPF下沉造成網(wǎng)絡邊界模糊[2]。

四是應用安全方面，工業(yè)互聯(lián)網(wǎng)企業(yè)開放平臺，運營商對數(shù)據(jù)的控制力減弱，數(shù)據(jù)泄露的風險增大；5G網(wǎng)絡能力開放架構(gòu)面臨網(wǎng)絡能力的非授權(quán)訪問和使用、數(shù)據(jù)泄露等安全風險；邊緣云平臺(MEC)上應用程序缺陷，增加非授權(quán)訪問安全風險。

2.2 5G全連接工廠安全管理和安全防護的關(guān)鍵技術(shù)

工廠內(nèi)以5G作為網(wǎng)絡支撐，以切片安全、通信安全等為主的5G網(wǎng)絡安全能力建設至關(guān)重要，同時還包括安全防護類、檢測類、監(jiān)測類等關(guān)鍵防護技術(shù)。

安全監(jiān)測類技術(shù)方面，以工業(yè)互聯(lián)網(wǎng)安全態(tài)勢感知為主，主要包括工業(yè)資產(chǎn)探測技術(shù)、蜜罐仿真技術(shù)和工業(yè)異常行為發(fā)現(xiàn)技術(shù)。工業(yè)資產(chǎn)探測技術(shù)指通過主動探測掃描資產(chǎn)，實現(xiàn)對工控設備資產(chǎn)的全面探測。蜜罐仿真技術(shù)指利用軟件代碼來模擬常見的工業(yè)控制系統(tǒng)服務或工控專用協(xié)議。工業(yè)異常行為發(fā)現(xiàn)技術(shù)指對工業(yè)數(shù)據(jù)包深度解析，結(jié)合工業(yè)異常行為規(guī)則庫發(fā)現(xiàn)網(wǎng)絡中的異常行為。

安全檢測類技術(shù)方面，主要包括基于模糊測試的工控漏挖和滲透測試技術(shù)。基于模糊測試的工控漏挖指通過生成畸形報文查看控制器狀態(tài)、測試協(xié)議的健壯性并發(fā)現(xiàn)其中的漏洞。滲透測試技術(shù)指形成工控系統(tǒng)漏洞知識庫，集成當前主流的商業(yè)或開源漏洞掃描器，實現(xiàn)掃描任務的插件化、腳本化。

安全防護類技術(shù)方面，主要包括工業(yè)防火墻技術(shù)、工業(yè)主機白名單技術(shù)、安全隔離與信息交換技術(shù)和輕量級密碼算法技術(shù)。工業(yè)防火墻技術(shù)指對工業(yè)流量數(shù)據(jù)包應用層深度解析，實現(xiàn)端口動態(tài)跟蹤等功能。工業(yè)主機白名單技術(shù)指對工業(yè)主機等允許運行程序、服務等建立白名單。安全隔離與信息交換技術(shù)指采用“2+1”結(jié)構(gòu)，通過電子開關(guān)或?qū)Ｓ脭?shù)據(jù)通道進行數(shù)據(jù)擺渡。輕量級密碼算法技術(shù)指在工業(yè)設備中，應用基于標識的輕量級密碼算法。

5G網(wǎng)絡安全能力方面，主要包括切片安全、通信安全、5GC安全和邊緣計算安全。切片安全指采用移動網(wǎng)絡安全機制+網(wǎng)絡切片之間端到端安全隔離機制[3]。通信安全指采用身份鑒權(quán)+傳輸加密+網(wǎng)絡隔離策略。5GC安全指采取API接口安全+安全域劃分策略。邊緣計算安全指從物理、基礎設施、系統(tǒng)及平臺、業(yè)務及數(shù)據(jù)、管理與運維安全等端到端的安全解決方案[4]。隨著關(guān)鍵技術(shù)不斷發(fā)展，主動發(fā)現(xiàn)威脅和自動響應的能力也不斷提升。一是基于威脅情報智能分析助力態(tài)勢感知實現(xiàn)“智能化分析”“高度互聯(lián)及時響應”。二是未知威脅檢測將利用圖計算等挖掘安全威脅和隱藏的安全問題。三是包括基因檢測、沙箱檢測等的惡意代碼發(fā)現(xiàn)將持續(xù)應用。四是基于虛實結(jié)合的攻防靶場將通過搭建數(shù)字孿生體，實現(xiàn)工業(yè)現(xiàn)場“實景”攻防。五是基于安全編排的安全自動化響應將持續(xù)助力5G全連接工廠安全體系建設[5]。

3 5G全連接工廠安全保障體系構(gòu)成

結(jié)合5G全連接工廠存在的安全風險和安全防護現(xiàn)狀，建立了由安全技術(shù)體系、安全運行體系和安全管理體系三大體系構(gòu)成5G全連接工廠安全保障體系。

3.1 安全技術(shù)體系

安全技術(shù)體系重點包括接入安全、網(wǎng)絡安全、控制安全、應用安全和數(shù)據(jù)安全五部分。通過強化5G全連接工廠安全技術(shù)體系建設，保障5G全連接工廠在產(chǎn)線級、車間級、工廠級的生產(chǎn)、運營、管理等方面安全保障能力得到全面提升。接入安全方面應主要從終端設備自身、接入認證和訪問控制來保證終端接入的安全，包括終端自身的安全加固、鑒別機制和訪問控制策略等措施實現(xiàn)對終端接入的安全防護。網(wǎng)絡安全方面應通過采取通信和傳輸保護、邊界隔離(工業(yè)防火墻)、接入認證授權(quán)等安全策略，確保工廠內(nèi)網(wǎng)安全、標識解析安全等；通過采取通信和傳輸保護、邊界隔離(防火墻)、網(wǎng)絡攻擊防護等安全策略，確保工廠外網(wǎng)安全、標識解析安全等?？刂瓢踩矫鎽ㄟ^采取控制協(xié)議安全機制、控制軟件安全加固、指令安全審計、故障保護等安全策略，確?？刂栖浖踩涂刂茀f(xié)議安全。應用安全方面應通過采取用戶授權(quán)和管理、虛擬化安全、代碼安全等安全策略，確保平臺安全、本地應用安全、云化應用安全等。數(shù)據(jù)安全方面應通過采取數(shù)據(jù)防泄漏、數(shù)據(jù)加密、數(shù)據(jù)備份恢復等安全策略，確保包括數(shù)據(jù)收集安全、數(shù)據(jù)傳輸安全、數(shù)據(jù)存儲安全、數(shù)據(jù)處理安全、數(shù)據(jù)銷毀安全、數(shù)據(jù)備份恢復安全在內(nèi)的數(shù)據(jù)全生命周期各環(huán)節(jié)的安全，重點保障5G全連接工廠數(shù)據(jù)在遠程設備操控、無人智能巡檢、生產(chǎn)能效管控等場景的安全可靠。

此外，還應關(guān)注切片安全、邊緣計算安全等5G通用網(wǎng)絡安全技術(shù)。切片安全方面包括切片隔離、切片接入認證、安全機制的差異化、切片的通信安全、虛擬化安全等。切片隔離方面，每個切片都應具有獨立的安全策略，以穩(wěn)固的方式相互隔離，并且當個用戶通過多個網(wǎng)絡切片訪問服務時，要提供切片間的安全隔離。切片接入認證方面，為確保能夠為用戶正確選擇和訪問切片，應將合適的網(wǎng)絡切片分配給適當?shù)暮灱s用戶，要保證切片的接入認證安全；當用戶接入切片時，對切片進行注冊，通過切片訪問控制保證用戶接入正確切片，通過會話機制防止用戶的未授權(quán)訪問。安全機制的差異化方面，應為每個網(wǎng)絡切片定義不同的訪問安全機制及會話安全機會。切片的通信安全方面，應根據(jù)網(wǎng)絡切片功能的敏感級別和網(wǎng)絡租戶的需求，對網(wǎng)間切片接口和通信進行保護[6]。虛擬化安全方面，當使用虛擬機部署MEC應用和/或MEC平臺時，應支持虛擬機使用的vCPU、內(nèi)存以及I/O等安全隔離，支持鏡像簽名，防止被非法訪問和篡改等；當使用容器部署MEC應用和/或MEC平臺時，應支持容器之間資源的安全隔離、鏡像倉庫安全等。邊緣計算安全方面包括物理安全、通信安全、身份認證與鑒權(quán)和訪問控制、API接口安全等。物理安全方面，邊緣計算設施應放置在運營商可控、并滿足基本物理安全的機房。通信安全方面，邊緣計算應支持安全通信功能，盡量不使用明文通信。身份認證與鑒權(quán)和訪問控制方面，應對權(quán)限和密碼進行安全管理，并保障配置正確。API接口安全方面，應在開放的API接口設計和實現(xiàn)過程中充分考慮安全認證，防止出現(xiàn)未授權(quán)訪問安全漏洞，開發(fā)后應實施漏洞掃描和滲透測試。

3.2 安全運行體系

安全運行體系重點包括風險評估、安全監(jiān)測、應急響應、威脅共享和安全審計等。風險評估方面應通過采用定性或定量的分析方法對安全事件造成的各種影響進行等級判斷，通過識別系統(tǒng)面臨的風險來制定相應的響應預案，當5G全連接工廠發(fā)生安全事件后，及時分析事件的影響范圍與程度，評估5G全連接工廠處置恢復方案的適用性與有效性，并依據(jù)安全事件處理評估結(jié)果進行持續(xù)修正優(yōu)化[7]。安全監(jiān)測方面應在5G全連接工廠內(nèi)部部署相應的監(jiān)測措施，主動發(fā)現(xiàn)來自系統(tǒng)內(nèi)外部的安全風險，具體措施包括數(shù)據(jù)采集、收集匯聚、特征提取、關(guān)聯(lián)分析、狀態(tài)感知等，確保廠區(qū)智能物流、生產(chǎn)現(xiàn)場監(jiān)測、機器視覺質(zhì)檢等環(huán)節(jié)安全有序開展。應急響應方面應定期對應急計劃制度和應急預案進行評審和更新，制定應急預案培訓計劃，并向具有相應角色和職責的5G全連接工廠建設者提供應急培訓。各部門之間應協(xié)調(diào)開展應急演練，依據(jù)已建立的重大安全事件跨單位、跨區(qū)域聯(lián)合應急預案，定期進行應急預案的聯(lián)合演練。威脅共享方面應在一旦發(fā)現(xiàn)安全隱患威脅或者發(fā)生安全事件，應及時快速在5G全連接工廠范圍內(nèi)進行威脅信息共享，最大程度降低可能帶來的安全損失。安全審計方面應根據(jù)業(yè)務運行情況建立較為完善的安全審計管理制度，對重要設備、平臺、系統(tǒng)等啟用安全審計功能，對重要的用戶行為和重要安全事件進行安全審計。部署安全審計工具，保護審計工具免受未授權(quán)訪問、修改、刪除或覆蓋等行為的破壞。建立配置管理制度，記錄和保存詳細配置信息。

3.3 安全管理體系

安全管理體系重點包括組織保障、制度建設和分類分級三部分。一是夯實組織保障基礎，涉及責任部門、人員管理和資金投入。責任部門方面應建立跨部門、跨職能的工業(yè)互聯(lián)網(wǎng)安全聯(lián)合管理團隊，聯(lián)合產(chǎn)業(yè)鏈上下游，建立工業(yè)互聯(lián)網(wǎng)安全防護聯(lián)合工作機制，明確工業(yè)互聯(lián)網(wǎng)安全管理責任人，落實工業(yè)互聯(lián)網(wǎng)安全責任制，部署工業(yè)互聯(lián)網(wǎng)安全防護措施。人員管理方面應建立安全崗位分類機制和人員審查制度，尤其對關(guān)鍵崗位的人員進行嚴格審查，在授權(quán)訪問系統(tǒng)及相關(guān)重要信息前進行人員審查，在人員離職或崗位調(diào)整時對其進行審查，保留所有工作人員(包括離職人員)的權(quán)限記錄，發(fā)生重大安全事故時進行監(jiān)視和審查。資金投入方面應關(guān)注5G+工業(yè)互聯(lián)網(wǎng)和工業(yè)互聯(lián)網(wǎng)安全領域的政策文件，按照相關(guān)要求，加大在安全方向的資金投入。二是不斷完善制度建設，涉及安全規(guī)劃和安全管理制度建設。安全規(guī)劃方面應根據(jù)實際需求和發(fā)展規(guī)劃，制定詳實的5G全連接工廠安全保障規(guī)劃，明確當前需求和下一步發(fā)展要求，明確每個階段的安全發(fā)展目標、安全舉措等。安全管理制度建設方面應不斷建立健全工業(yè)互聯(lián)網(wǎng)安全管理制度，動態(tài)優(yōu)化完善制度建設，全面提升安全綜合保障能力。三是持續(xù)優(yōu)化分類分級管理，涉及自主定級、上報備案和規(guī)范落實。自主定級和上報備案方面應結(jié)合工業(yè)互聯(lián)網(wǎng)企業(yè)網(wǎng)絡安全分類分級評定規(guī)則，依據(jù)實際情況，開展網(wǎng)絡安全自主定級和上報備案工作，落實與自身等級相適應的安全防護措施，形成定級報告。在業(yè)務規(guī)模、服務范圍、服務對象等發(fā)生重大變化時，自變化之日起三十個工作日內(nèi)重新定級，在自主定級后十個工作日內(nèi)將定級結(jié)果報地方主管部門。規(guī)范落實方面應根據(jù)實際工作開展情況和發(fā)展規(guī)劃，嚴格按照工業(yè)互聯(lián)網(wǎng)安全防護規(guī)范要求，全面有序開展安全防護工作，動態(tài)優(yōu)化調(diào)整規(guī)范落實流程，推動分類分級工作有序開展。

4 5G全連接工廠安全保障體系發(fā)展相關(guān)思考

當前，我國5G+工業(yè)互聯(lián)網(wǎng)發(fā)展處在蓬勃發(fā)展的關(guān)鍵時期，5G全連接工廠作為其在工廠的重要應用模式，安全問題應得到高度重視，政產(chǎn)學研用各方均應做好安全保障工作，有如下幾點思考。

4.1 強化安全管理，明確5G全連接工廠安全建設要點

2022年8月，工業(yè)和信息化部出臺了《5G全連接工廠建設指南》，提出加強網(wǎng)絡安全防護，提升安全管理水平和升級安全防護能力，初步明確了5G全連接工廠安全建設方向。接下來，需進一步研究制定5G全連接工廠安全保障體系相關(guān)工作機制，細化安全建設要點，指導企業(yè)有序開展5G全連接工廠安全保障建設工作。

4.2 完善安全標準，加速推進5G全連接工廠安全發(fā)展

根據(jù)《工業(yè)互聯(lián)網(wǎng)綜合標準化體系建設指南》《工業(yè)互聯(lián)網(wǎng)安全標準體系(2021年)》等相關(guān)標準文件，持續(xù)完善工業(yè)互聯(lián)網(wǎng)安全標準體系，加快推動更多5G+工業(yè)互聯(lián)網(wǎng)和5G全連接工廠安全防護、安全評估評測、安全評價等相關(guān)安全標準的研制發(fā)布，為5G全連接工廠安全體系建設指明方向，為5G+工業(yè)互聯(lián)網(wǎng)應用的安全高速發(fā)展保駕護航。

4.3 加強安全防護，提升5G全連接工廠安全保障能力

以5G自身安全能力為基礎，結(jié)合工業(yè)互聯(lián)網(wǎng)特征與運營模式，融合切片技術(shù)、邊緣計算、安全態(tài)勢感知等技術(shù)，提升網(wǎng)絡安全技術(shù)能力，同時做到安全防護、信息共享、協(xié)同處置的安全運行閉環(huán)，提升5G+工業(yè)互聯(lián)網(wǎng)安全保障能力，全面構(gòu)建5G全連接工廠安全保障體系。

4.4 提升安全意識，推動5G全連接工廠安全高效建設

充分認識并把握好安全與發(fā)展的關(guān)系，5G全連接工廠相關(guān)企業(yè)應于移動運營商、設備提供商、安全服務商、監(jiān)管機構(gòu)等共同協(xié)作，建立跨部門、跨行業(yè)、跨平臺的工作機制，共同推動安全核心技術(shù)聯(lián)合攻關(guān)、共享安全技術(shù)資源，從而保障5G全連接工廠高效順暢建設。

5 結(jié)語

伴隨5G全連接工廠建設進程加快，安全保障體系作為其中關(guān)鍵的一環(huán)，其重要性日益凸顯，在充分認識5G全連接工廠安全風險和問題基礎上，構(gòu)建包括安全管理體系、安全技術(shù)體系、安全運行體系的5G全連接工廠安全保障體系十分必要。為推動5G全連接工廠安全保障體系建設，應不斷強化安全管理、完善安全標準、加強安全防護、提升安全意識。